Bricksforge eklentisinde CVSS 10 açık saldırıda: WordPress siteleri ele geçiriliyor
Yayın:
- Ne oldu?
- Bricksforge eklentisindeki bir açık, saldırganın giriş yapmadan siteye PHP dosyası yükleyip çalıştırmasına izin veriyor.
- Kimi etkiliyor?
- Bricksforge 3.1.8.9 ve önceki sürümlerini kullanan WordPress siteleri.
- Ne yapmalı?
- Eklentiyi hemen en son sürüme güncelleyin ve yükleme klasöründe PHP dosyası olup olmadığına bakın.
Bricks tema oluşturucusunu genişleten Bricksforge eklentisinde bulunan CVE-2026-85097 açığı, saldırganların giriş yapmadan siteye PHP dosyası yükleyip çalıştırmasına izin veriyor. Açığın puanı CVSS 10.0, yani en yüksek seviye. Güvenlik firması Patchstack, ilk saldırı denemelerini 7 Ekim 2026'da gördü.
Açık nasıl çalışıyor?
Eklenti, form üzerinden yüklenen dosyanın türünü ilk yüklemede kontrol ediyor; ama form gönderilirken
tarayıcıdan gelen dosya bilgisine güveniyor. Saldırgan önce resim gibi görünen ama içinde PHP kodu olan bir dosya
yüklüyor, sonra formu bu dosyayı .php uzantılı bir konuma yazdıracak şekilde gönderiyor. Dosya
çağrıldığında kod sunucuda çalışıyor.
Saldırılar ne boyutta?
Patchstack 63 farklı IP adresinden gelen saldırı gördü. 44 adresin birkaç saniye içinde aynı isteği göndermesi,
saldırıların otomatik araçlarla yapıldığını gösteriyor. Saldırganlar filtreleri atlatmak için .phtml,
.php5 gibi farklı uzantılar ve büyük-küçük harf oyunları deniyor.
Ne yapmalısınız?
- Güncelleyin: 3.1.8.9 ve önceki sürümler etkileniyor. Eklentiyi en son sürüme yükseltin.
- Yükleme klasörüne bakın:
wp-content/uploads/bricksforge/tmp/altında PHP dosyası olmamalı.find wp-content/uploads -iname '*.php*' -o -iname '*.phtml' - Kayıtları inceleyin:
/wp-json/bricksforge/v1/form_submitadresine gelen vetemporaryFileUploadsiçeren tekrar eden istekler saldırı izidir.
Aynı dönemde saldırıya uğrayan iki eklenti daha
Ninja Forms (3.15.3 ve öncesi, düzeltme 3.15.4) ve WPC Product Bundles for WooCommerce
(8.6.6 ve öncesi, düzeltme 8.6.7) eklentilerindeki XSS açıkları da 4 Ekim'den beri kullanılıyor. Saldırganlar
bu yolla gizli yönetici hesabı açıyor. Güncellemek mevcut bulaşmayı temizlemez; yönetici listesini ve
mu-plugins klasörünü kontrol edin.
Kaynaklar
İlgili yazılar
Rank Math PRO güncellemesine zararlı yazılım gizlendi: ne yapmalı?
WordPress SEO eklentisi Rank Math PRO'nun 3.0.123 sürümüne zararlı kod eklendi. Hangi siteler etkilendi, nasıl temizlenir?
nginx beş güvenlik açığını kapattı: sunucunuz etkileniyor mu?
nginx 14 Ekim'de beş açığı kapattı. Açıkların hepsi belirli ayarlara bağlı; sunucunuzun etkilenip etkilenmediğini tek komutla görebilirsiniz.
cPanel, Plesk ve WHMCS 2027'de yüzde 20'ye varan zam yapıyor
cPanel 16 Aralık'tan, Plesk ve WHMCS 1 Ocak 2027'den itibaren lisans fiyatlarını artırıyor. Rakamlar ve barındırma firmalarına etkisi.
cPanel’de herhangi bir hosting hesabına root yetkisi veren açık
cPanel’in takvim ve rehber bileşenindeki açık, sıradan bir hosting hesabının sunucuda root olarak kod çalıştırmasına izin veriyordu.
OpenSSH 10.6 yayımlandı: sıkıştırma üzerinden şifreli veri sızdırma kapatıldı
OpenSSH 10.6, sıkıştırma üzerinden düz metin kurtarma saldırısı, SFTP yol doğrulaması ve kullanıcı adıyla komut enjeksiyonu gibi sorunları düzeltiyor.
eMudhra ara sertifikaları ele geçirildi: iki kök sertifika güvenilmez ilan edildi
Linux dağıtımları emSign ECC Root CA (G3) ve Comodo AAA Services köklerini güven listesinden çıkardı. Sunucunuzda ca-certificates güncellemesi gerekiyor.